TP15: WG-Endpoint (bf4) geklaert + Session-Handover

- bf4.emsenhuber.net = CF-A-Record (proxied=false, TTL120, 90.146.35.38),
  KEIN Updater auf ap1 -> nichts zu migrieren. Bei WAN-IP-Wechsel via
  CF_API_TOKEN nachziehen (bf4-Record + Access-Policy bf4-home-ip). Core
  ist nicht device-mode=home -> DDNS-Auto-Updater dort baubar (TP10-Follow-up).
- docs/tp15-core-swap-session-handover.md: Einstieg fuer die Cutover-Session
  (locked decisions, Pre-Window-Checkliste, Kurz-Runbook, Gotchas).
- staged .rsc + teilprojekte.md entsprechend fortgeschrieben.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

routeros/tp15-core-l3-staged.rsc

@@ -155,9 +155,15 @@
   public-key="FqYZLztQ/qME5VDie5QLGH++5299WJiE1dPpQnPbzUw="
 /ip/route add dst-address=10.101.0.0/24 gateway=wg-hub comment="TP10: FM spoke -> wg-hub"
 /ip/route add dst-address=10.95.10.0/24 gateway=wg-hub comment="TP10: DW spoke -> wg-hub"
-# ⚠️ VOR dem Fenster klären: wie adressieren FM/DW den HUB (feste Public-IP vs. DDNS) und
-#    wer aktualisiert den Record, wenn core am WAN eine neue Liwest-IP zieht? Sonst bleibt
-#    die Standortkopplung nach dem Cutover tot, bis der Hub-Endpoint nachgezogen ist.
+# ✅ GEKLÄRT (2026-07-23): FM+DW adressieren den Hub über `bf4.emsenhuber.net:51821` =
+#    Cloudflare-A-Record (proxied=false, TTL 120, aktuell 90.146.35.38). KEIN Updater auf
+#    ap1 (nur WANTEST/mac-clone-Scripts) -> nichts zu migrieren. bf4 folgt der Public-IP
+#    MANUELL (TP10-Follow-up, nie automatisiert).
+#    -> Cutover-Konsequenz: zieht core am WAN eine ANDERE Liwest-IP (Lease ist sticky,
+#       eher nicht), dann via CF_API_TOKEN nachziehen: (a) bf4-A-Record, (b) CF-Access-
+#       Policy `bf4-home-ip` (90.146.35.38/32). Solange die IP gleich bleibt = No-op.
+#    -> Chance: core ist NICHT device-mode=home -> scheduler+fetch gehen -> hier den
+#       bf4-DDNS-Auto-Updater bauen, den ap1 nie konnte (schliesst TP10-Follow-up).
 
 # ============================ [CUTOVER-ENABLE] (im Fenster, EIN Rutsch) ============
 # NACH Kabel-Umstecken sw1->core und NACHDEM ap1 als Router still ist: